Per decenni trovare una vulnerabilità sconosciuta è stato un lavoro artigianale: ore di reverse engineering, fuzzing, intuizione. Tra il 2025 e il 2026 questo equilibrio si è rotto. I modelli di ragionamento hanno iniziato a trovare zero-day reali in software critico — prima uno alla volta, poi a migliaia. Vale la pena separare i fatti verificati dall'hype, perché le implicazioni per chi difende sono concrete.
I primi casi documentati
Il primo zero-day nel kernel Linux individuato con un LLM porta la firma del ricercatore Sean Heelan: usando OpenAI o3 ha scoperto CVE-2025-37899, una use-after-free nel modulo ksmbd (implementazione SMB3 nel kernel). Ha fornito al modello circa 12.000 righe di codice degli handler SMB e o3 ha isolato una race condition nella gestione del comando SMB2 LOGOFF: un thread libera l'oggetto sessione mentre un altro lo sta ancora usando.
Poche settimane dopo, a luglio 2025, Google ha annunciato che l'agente Big Sleep (DeepMind + Project Zero) aveva individuato CVE-2025-6965, una corruzione di memoria in SQLite (CVSS 7.2, tutte le versioni precedenti alla 3.50.2). Il dettaglio che conta: il team di threat intelligence aveva visto indicatori di un attaccante che stava preparando uno zero-day ma non riusciva a identificarlo. Ha passato quei frammenti a Big Sleep, che ha isolato la falla prima che venisse sfruttata. È ritenuto il primo caso in cui un'AI ha sventato direttamente un tentativo di exploit in corso.
DARPA AIxCC: la prova su strada
Alla finale dell'AI Cyber Challenge di DARPA (DEF CON 33, agosto 2025) sette sistemi di ragionamento completamente autonomi hanno gareggiato su codice open source. I numeri ufficiali:
| Metrica | Risultato |
|---|---|
| Vulnerabilità sintetiche trovate | 54 su 63 (86%) |
| Vulnerabilità sintetiche corrette | 43 (68%) |
| Vulnerabilità reali (non piantate) scoperte | 18 — 6 in C, 12 in Java |
| Tempo medio per proporre una patch | 45 minuti |
| Costo medio per task | circa 152 $ |
| Codice analizzato | oltre 54 milioni di righe |
Vittoria a Team Atlanta (4 M$), secondo Trail of Bits (3 M$, il suo "Buttercup" ha trovato 28 bug e ne ha corretti 19), terzo Theori (1,5 M$). I sistemi sono stati rilasciati in open source: chi difende può eseguirli.
Claude Mythos e Project Glasswing: il salto di scala
Il 7 aprile 2026 Anthropic ha presentato Claude Mythos Preview, un modello capace di trovare e trasformare in exploit funzionanti, in autonomia, vulnerabilità su tutti i principali sistemi operativi e browser. Alcuni esempi con i costi dichiarati:
- Un bug di denial of service in OpenBSD vecchio di 27 anni (overflow di intero con segno nel confronto dei numeri di sequenza TCP), riprodotto per meno di 50 $ a run.
- Una scrittura fuori dai limiti nel codec H.264 di FFmpeg vecchia di 16 anni (~10.000 $ di run).
- Un RCE non autenticato con privilegi root nell'NFS di FreeBSD (CVE-2026-4747, vecchio di 17 anni): overflow di stack senza stack canary, con una ROP chain spezzata su sei pacchetti.
Sul benchmark CyberGym il modello ha raggiunto 83,1% contro il 66,6% del precedente Opus 4.6. Su un esercizio di exploit contro Firefox 147, il modello precedente produceva circa 2 exploit funzionanti su centinaia di tentativi; Mythos ne ha prodotti 181. La validazione umana ha dato ragione al modello nell'89% dei casi sulla gravità esatta e nel 98% entro un livello.
Con Project Glasswing queste capacità sono state date, in forma ristretta, a una coalizione (AWS, Apple, Cisco, CrowdStrike, Google, Linux Foundation, Microsoft e altri). L'aggiornamento del 22 maggio 2026 riporta due numeri distinti: i partner hanno trovato oltre 10.000 vulnerabilità high/critical nei propri sistemi in un solo mese; sul fronte open source Anthropic ha analizzato più di 1.000 progetti, ricavando 23.019 segnalazioni di cui 6.202 stimate high/critical. Ma il dato che pesa è un altro: delle 530 falle gravi comunicate ai manutentori, solo 75 erano state corrette e 65 avevano un avviso pubblico. In media, applicare una patch richiedeva due settimane.
Per anni il limite era quanto in fretta si trovano le vulnerabilità. Oggi il limite è quanto in fretta si riescono a verificare, comunicare e correggere. La velocità di scoperta ha superato la capacità di rimedio dell'ecosistema.
La frontiera è frastagliata (e questo è un bene per chi difende)
La startup AISLE ha ridimensionato l'idea del "modello proibito": ha ripreso i bug mostrati da Mythos e li ha dati a modelli piccoli, economici e a pesi aperti. Il bug FreeBSD di 17 anni è stato trovato anche da un modello da 3,6 miliardi di parametri a 0,11 $ per milione di token. Su un test di falsi positivi, diversi modelli aperti hanno battuto la maggior parte dei modelli di frontiera. La conclusione: la capacità non cresce in modo regolare con la dimensione del modello — la frontiera è "frastagliata" — e il vantaggio reale sta nel sistema costruito attorno al modello, non nel modello in sé.
Cosa farne, da subito
- Inventario e SBOM: non puoi correggere ciò che non sai di avere. La distinta dei componenti software è il prerequisito.
- Pipeline di patch veloci: il vantaggio non è più trovare il bug, ma chiudere la finestra di esposizione. Automatizza test e rollout.
- Prioritizza per sfruttabilità reale: usa CISA KEV ed EPSS invece del solo CVSS. Il NVD stesso, dal 15 aprile 2026, arricchisce in modo completo solo le CVE a rischio più alto (catalogo CISA KEV, software federale e critico): le segnalazioni sono cresciute del 263% tra il 2020 e il 2025.
- Usa gli stessi strumenti: i sistemi AIxCC sono open source, gli agenti difensivi esistono. Portali sul tuo codice prima che lo faccia qualcun altro.
La scoperta automatica di vulnerabilità non è più una promessa: è una realtà misurata in dollari per exploit. Il fossato difensivo non è sperare che gli attaccanti non abbiano l'AI — ce l'hanno — ma ridurre il tempo che intercorre tra "la falla esiste" e "la falla è chiusa".